Conformità outbound in Indonesia: UU PDP e OJK

Risposta rapida

In Indonesia le chiamate outbound sono disciplinate dall'Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, la legge sulla protezione dei dati personali nota come UU PDP, insieme al Kementerian Komunikasi dan Digital per gli SMS di marketing e all'Otoritas Jasa Keuangan per le chiamate dei servizi finanziari. Il modello di consenso è il consenso esplicito per finalità dichiarate ai sensi dell'UU PDP Pasal 20(2)(a), e non esiste un registro nazionale delle opposizioni (Do Not Call) su cui fare lo scrubbing: esistono un'opzione di rifiuto a livello di operatore per gli SMS di marketing e, nei servizi finanziari, un obbligo di consenso e revoca a carico di ogni singola società. L'unica fascia oraria pubblicata è quella del settore finanziario: dal lunedì al sabato, festività nazionali escluse, dalle 08:00 alle 18:00 ora locale per il marketing e dalle 08:00 alle 20:00 per il recupero crediti.

L'Indonesia è il mercato in cui la maggior parte dei consigli pubblicati sul telemarketing sbaglia in modo specifico: descrive una lista nazionale di opposizione che non esiste e indica un'unica fascia oraria nazionale che nessuna norma contiene. Le regole che ti vincolano davvero sono distribuite in tre fonti: una legge sulla protezione dei dati che si applica a tutti, un regolamento ministeriale sulle telecomunicazioni che riguarda gli SMS di marketing e non la voce, e un regolamento di condotta per i servizi finanziari molto più severo di entrambi, che vincola l'impresa e non l'operatore.

In sintesi

Voce	La posizione dell'Indonesia
Autorità di regolamentazione	Kementerian Komunikasi dan Digital, nota come Komdigi, ridenominata nel 2024 da Kementerian Komunikasi dan Informatika. La condotta nel settore finanziario è di competenza dell'Otoritas Jasa Keuangan, OJK. L'organismo di vigilanza dell'UU PDP è il lembaga da istituire ai sensi del Pasal 58
Legge e data	UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, promulgata il 17 ottobre 2022, Lembaran Negara 2022 n. 196. Peraturan Menteri Kominfo Nomor 5 Tahun 2021, promulgato il 1° aprile 2021. POJK Nomor 22 Tahun 2023, in vigore dal 22 dicembre 2023
Licenza necessaria	Nel diritto indonesiano delle telecomunicazioni non esistono una licenza né un registro per il telemarketing. Nei servizi finanziari l'obbligo ricade sul PUJK stesso, e un fornitore esterno di servizi di recupero crediti deve possedere una certificazione specifica
Orari di chiamata	Solo servizi finanziari. Chiamate di marketing dal lunedì al sabato, festività nazionali escluse, dalle 08:00 alle 18:00 waktu setempat. Chiamate di recupero crediti dal lunedì al sabato, festività nazionali escluse, dalle 08:00 alle 20:00 waktu setempat. Al di fuori dei servizi finanziari, nell'UU PDP e nel PM Kominfo 5/2021 non è stata trovata alcuna regola sugli orari
Fuso orario	La norma parla di waktu setempat, l'ora locale del consumatore. L'Indonesia si estende su WIB, WITA e WIT, quindi un'unica fascia oraria nazionale non è adatta a questo mercato
Modello di consenso	Consenso esplicito valido per una o più finalità dichiarate ai sensi dell'UU PDP Pasal 20(2)(a), la prima di sei basi giuridiche. Il POJK 22/2023 Pasal 39(1) vieta inoltre a un'impresa finanziaria di fare marketing tramite un canale di comunicazione personale senza consenso
Lista Do Not Call	Nessuno. Nessun registro nazionale compare nell'UU PDP, nel PM Kominfo 5/2021 o nel POJK 22/2023. I sostituti sono un'opzione di rifiuto a livello di operatore per gli SMS di marketing e un registro dei consensi di ciascuna società nei servizi finanziari
Regola sul caller ID	Non è stato trovato alcun prefisso o intervallo riservato al telemarketing. Il POJK 22/2023 Pasal 39(4)(b) impone a chi chiama di indicare il nome della società e spiegare lo scopo prima di proporre qualsiasi cosa. Il mascheramento del sender ID negli SMS è consentito, ma va segnalato al Direktur Jenderal ogni tre mesi
Regola sulla registrazione	Obbligatoria nei servizi finanziari. Il POJK 22/2023 Pasal 39(5) impone la registrazione audio o video di un'offerta fatta tramite un canale di comunicazione personale, il Pasal 39(7) ne impone la documentazione se l'offerta viene accettata e il Pasal 39(8) dà al consumatore il diritto di accedervi
Legge sulla protezione dei dati	UU PDP, con un periodo transitorio di due anni ai sensi del Pasal 74 che si è chiuso il 17 ottobre 2024. La notifica delle violazioni va fatta entro 3 x 24 ore all'interessato e al lembaga ai sensi del Pasal 46
Sanzioni	Sanzione amministrativa UU PDP fino al 2 percento del fatturato o delle entrate annue rapportate alla variabile della violazione. Esposizione penale fino a 5 anni e IDR 5 miliardi, con multe per le società fino a dieci volte il massimo. Le sanzioni POJK arrivano alla rimozione del management e a una sanzione amministrativa con un tetto di IDR 15,000,000,000
Durata di validità del consenso	Non pubblicato. L'UU PDP non fissa una scadenza, e la forma e la conservazione della prova del consenso sono demandate a un regolamento attuativo che non è stato individuato
Limiti di frequenza	Nessun valore numerico pubblicato. Il POJK 22/2023 Pasal 62(2)(d) richiede solo che il recupero crediti non sia continuo in modo da disturbare il consumatore

Chi regola le chiamate outbound in Indonesia

Contano tre autorità, e nessuna rilascia licenze ai telemarketer. Komdigi è il ministero delle telecomunicazioni e del digitale, ridenominato da Kominfo nel 2024, e il suo strumento operativo in questo ambito è il Peraturan Menteri Kominfo Nomor 5 Tahun 2021 tentang Penyelenggaraan Telekomunikasi. OJK è l'autorità per i servizi finanziari, e il POJK 22/2023 è il regolamento di condotta che disciplina come un'impresa finanziaria può fare marketing e recupero crediti. L'UU PDP istituisce un organismo di vigilanza, chiamato nella legge semplicemente lembaga, che secondo il Pasal 58 è istituito dal Presidente con un Peraturan Presiden.

Leggi con attenzione il regolamento Komdigi prima di dare per scontato che ti riguardi. Il capitolo sul marketing, il BAB XIV, è rivolto agli operatori di rete mobile e ai fornitori di servizi di contenuto, non all'azienda che acquista le chiamate, e tutti gli articoli operativi dal Pasal 176 al 186 riguardano la layanan pesan pendek yang bersifat penawaran, cioè gli SMS di marketing. Il marketing vocale outbound semplicemente non è disciplinato da questo strumento.

Nei servizi finanziari la situazione si inverte. Il POJK 22/2023 vincola il PUJK, il Pelaku Usaha Jasa Keuangan, e le sue regole su marketing e recupero crediti si applicano sia che l'impresa chiami direttamente sia che affidi il lavoro a terzi; un fornitore esterno di recupero crediti deve avere una certificazione specifica. Tutti gli altri ricadono solo sotto l'UU PDP: qualsiasi organizzazione che determina le finalità del trattamento è un Pengendali Data Pribadi, tenuto dal Pasal 20(1) ad avere una base giuridica, senza registrazione né notifica a un'autorità.

Consenso e opt-out

L'UU PDP elenca sei basi giuridiche nel Pasal 20(2). La prima è il consenso esplicito valido dell'interessato per una o più finalità specifiche comunicate in precedenza. Le altre sono l'esecuzione di un contratto, un obbligo di legge, gli interessi vitali, un compito di interesse pubblico e altri interessi legittimi bilanciati con i diritti dell'interessato. Il marketing su una lista fredda difficilmente regge con una base diversa dal consenso.

Il Pasal 21(1) stabilisce cosa va comunicato prima di raccogliere il consenso: la liceità del trattamento, la finalità, il tipo e la pertinenza dei dati personali, il periodo di conservazione dei documenti che li contengono, i dettagli delle informazioni raccolte, la durata del trattamento e i diritti dell'interessato. È un'informativa più lunga di quella contenuta nella maggior parte degli script outbound, e va fornita prima del consenso, non dopo la vendita.

La revoca non è una preferenza facoltativa. Se l'interessato revoca il consenso, il Pasal 43(1) obbliga il titolare a cancellare i dati personali e il Pasal 45 lo obbliga a comunicare alla persona che la cancellazione o distruzione è avvenuta. L'esaurimento della finalità, una richiesta dell'interessato e l'acquisizione illecita fanno scattare lo stesso obbligo.

I servizi finanziari aggiungono un livello più severo. Il POJK 22/2023 Pasal 39(1) vieta a un PUJK di offrire prodotti o servizi a un potenziale cliente o a un cliente tramite un canale di comunicazione personale senza il suo consenso. Il Pasal 39(2) vieta di subordinare a quel consenso l'uso del prodotto o servizio. Il Pasal 39(3) impone all'impresa di interrompere l'offerta nel momento in cui la persona revoca il consenso. E il Pasal 39(4)(c) impone a chi chiama di indicare la fonte dei dati della persona se sono stati ottenuti da terzi: è la regola che rende inutilizzabile una lista acquistata nel telemarketing finanziario indonesiano, a meno che tu non sia disposto a dire durante la chiamata da chi l'hai comprata.

Do-Not-Call

In Indonesia non esiste un registro nazionale delle opposizioni (Do Not Call). Nessun registro di questo tipo compare nell'UU PDP, nel PM Kominfo 5/2021 o nel POJK 22/2023. Non c'è nulla su cui fare lo scrubbing e nessun obbligo di verifica delle liste a carico dell'azienda che acquista le chiamate, perché l'obbligo ricade altrove.

Per gli SMS di marketing l'obbligo ricade sull'operatore ed è, a una prima lettura, più severo di un semplice opt-out. I Pasal 177 e 178 impongono agli operatori di rete mobile e ai fornitori di servizi di contenuto di offrire agli abbonati un modo per rifiutare gli SMS di marketing e di pubblicizzare questa possibilità. Il Pasal 179 vieta l'invio a chi ha rifiutato. Poi il Pasal 180 vieta l'invio a chi non ha scelto di rifiutare. Alla lettera, il silenzio non è un permesso e la posizione di default è nessun SMS di marketing.

Il Pasal 182 esclude i messaggi di servizio relativi a ciò che l'abbonato possiede già, come MSISDN e scadenza del pacchetto dati, a condizione che non vi venga inserito marketing. Il Pasal 183 impone un centro reclami per gli SMS di marketing, accessibile almeno in tutti i giorni lavorativi, e il Pasal 181(2) prevede che le violazioni siano pubblicate sul sito web del ministero.

Per la voce, la lista do-not-call è la tua. Costruiscila con le revoche ai sensi dell'UU PDP Pasal 43(1) e, nei servizi finanziari, con le revoche ai sensi del POJK 22/2023 Pasal 39(3), e applicala come blocco rigido al momento della chiamata, non come aggiornamento periodico della lista.

Orari e giorni di chiamata

È qui che un'unica fascia nazionale sarebbe un errore. Gli unici orari di chiamata pubblicati in Indonesia si trovano nel POJK 22/2023 e si applicano ai servizi finanziari.

Per il marketing, il Pasal 39(4)(a) consente le comunicazioni solo dal lunedì al sabato, festività nazionali escluse, dalle 08:00 alle 18:00 waktu setempat, salvo accordo del potenziale cliente o del cliente o su sua richiesta. Per il recupero crediti, il Pasal 62(2)(f) consente le chiamate solo dal lunedì al sabato, festività nazionali escluse, dalle 08:00 alle 20:00 waktu setempat, e il Pasal 62(3) consente di chiamare al di fuori di questi orari o luoghi solo con il previo accordo del consumatore.

Waktu setempat significa ora locale, e il regolamento lega la fascia all'ora locale del consumatore, non a quella di Giacarta. L'Indonesia si estende su tre fusi orari, WIB, WITA e WIT, quindi l'inizio alle 08:00 a Jayapura arriva due ore prima dell'inizio alle 08:00 a Medan. Un dialer che pianifica l'Indonesia su un unico orologio nazionale chiamerà la Papua prima dell'apertura della fascia o smetterà a Sumatra prima della sua chiusura.

Al di fuori dei servizi finanziari, nell'UU PDP e nel PM Kominfo 5/2021 non è stata trovata alcuna regola sugli orari di chiamata. Non trattare la fascia OJK come una regola nazionale e non considerare la sua assenza altrove come un permesso di chiamare a mezzanotte. Lo stesso vale per i limiti di frequenza: il POJK 22/2023 Pasal 62(2)(d) richiede solo che il recupero crediti non sia continuo in modo da disturbare il consumatore, senza indicare un numero.

Caller ID e presentazione del numero

L'Indonesia non ha un prefisso riservato al telemarketing. Nel PM Kominfo 5/2021 e negli altri strumenti non è stato trovato alcun intervallo dedicato alle chiamate vocali di marketing, né alcuna regola sulla presentazione di un CLI nascosto o falsificato nelle chiamate commerciali. Si tratta di un'assenza negli strumenti esaminati e non di un permesso esplicito, quindi verifica con Komdigi prima di farvi affidamento.

Ciò che l'Indonesia disciplina invece è l'identificazione verbale. Il POJK 22/2023 Pasal 39(4)(b) impone che una chiamata di marketing per servizi finanziari indichi il nome del PUJK e spieghi scopo e obiettivo prima di proporre qualsiasi prodotto o servizio. Insieme al Pasal 39(4)(c) sulla comunicazione della fonte dei dati, i primi trenta secondi di una chiamata indonesiana per servizi finanziari sono di fatto scritti dal regolamento.

Sul fronte della messaggistica, il mascheramento del sender ID è legale ma sorvegliato. Il Pasal 186 impone che l'uso del mascheramento dell'identità negli SMS di marketing sia segnalato ogni tre mesi al Direktur Jenderal dall'operatore di rete mobile o dal fornitore di servizi di contenuto. Quella segnalazione non spetta a te, ma i tuoi sender ID sono ciò che vi compare.

Registrazione delle chiamate e avvisi

L'Indonesia è un caso particolare: nei servizi finanziari la registrazione della chiamata di vendita è obbligatoria e non semplicemente consentita. Il POJK 22/2023 Pasal 39(5) obbliga il PUJK a effettuare una registrazione audio o video quando offre prodotti o servizi tramite un canale di comunicazione personale che usa voce o video. Il Pasal 39(7) lo obbliga a documentare la registrazione se il potenziale cliente o il cliente accetta l'offerta. Il Pasal 39(8) dà al consumatore che sottoscrive il prodotto il diritto di accedere alla propria registrazione.

Il Pasal 39(6) chiude il cerchio imponendo che la registrazione stessa avvenga nel rispetto delle leggi vigenti, il che significa che l'UU PDP si applica alla registrazione come dato personale: base giuridica, finalità dichiarata, periodo di conservazione comunicato e cancellazione quando la base viene meno.

Due aspetti non sono pubblicati. Il POJK 22/2023 non indica alcun periodo di conservazione per queste registrazioni, limitandosi a dire che sono documentate e accessibili. E non è previsto come tale un obbligo separato di avviso verbale della registrazione, il classico annuncio che la chiamata è registrata; ciò che è previsto è l'identificazione e la dichiarazione dello scopo del Pasal 39(4)(b). Considera l'annuncio una buona pratica e non una regola citabile, e verifica con OJK le aspettative sulla conservazione.

Regole per i messaggi SMS e WhatsApp

Gli SMS di marketing sono l'unico canale che il diritto indonesiano delle telecomunicazioni disciplina direttamente, e la catena degli obblighi passa dall'operatore e dal fornitore di servizi di contenuto, non da te. In pratica: all'abbonato deve essere stata offerta un'opzione di rifiuto, la regola di default del Pasal 180 è nessun invio, i messaggi di servizio non devono contenere marketing, deve esistere un canale per i reclami e il mascheramento va segnalato.

I canali over-the-top non sono menzionati. Il PM Kominfo 5/2021 riguarda la layanan pesan pendek, il servizio di messaggi brevi, non WhatsApp o servizi analoghi. Questo non significa che non siano regolati: l'UU PDP si applica ai dati personali qualunque sia il canale, e il POJK 22/2023 Pasal 39 parla di sarana komunikasi pribadi, canali di comunicazione personale, che il regolamento non definisce in base al canale. Considera che gli obblighi di consenso, identificazione e interruzione alla revoca seguano il contatto e non la tecnologia, e verifica il punto con OJK prima di avviare una campagna per servizi finanziari su un'app di messaggistica.

Protezione dei dati e conservazione

L'UU PDP è stata promulgata il 17 ottobre 2022 con un periodo transitorio di due anni ai sensi del Pasal 74. Quel periodo si è chiuso il 17 ottobre 2024, quindi da allora è dovuta la piena conformità. Non resta alcun periodo di tolleranza su cui fare affidamento.

Il trasferimento transfrontaliero è una procedura a cascata in tre passaggi prevista dal Pasal 56. Primo, il titolare deve verificare che il paese in cui si trova il titolare o il responsabile destinatario abbia un livello di protezione dei dati personali pari o superiore a quello dell'UU PDP. In mancanza, deve assicurarsi che esista una protezione adeguata e vincolante. In mancanza di entrambe, deve ottenere il consenso dell'interessato. I dettagli sono demandati a un Peraturan Pemerintah e nessun regolamento attuativo di questo tipo è stato individuato, quindi la documentazione dell'autovalutazione spetta a te.

Non esiste una whitelist indonesiana di adeguatezza su cui fare affidamento. Il test è un'autovalutazione del livello di protezione del paese destinatario, quindi ogni contact center offshore, region cloud e archivio di registrazioni richiede una protezione vincolante o il consenso dell'interessato, documentati prima del go-live e non dopo un audit.

La conservazione è legata alla finalità e non a una durata fissa. La cancellazione ai sensi del Pasal 43(1) scatta per esaurimento della finalità, revoca del consenso, richiesta dell'interessato o acquisizione illecita, e la distruzione ai sensi del Pasal 44(1) per scadenza del periodo di conservazione dell'archivio, richiesta dell'interessato, assenza di procedimenti legali in corso o acquisizione illecita. Il periodo di conservazione stesso deve essere stato comunicato al momento del consenso ai sensi del Pasal 21(1)(d), il che rende la tua informativa il limite effettivo.

La notifica delle violazioni è rapida. Il Pasal 46 impone una notifica scritta entro 3 x 24 ore all'interessato e al lembaga, che indichi i dati esposti, quando e come è avvenuta la violazione e le misure correttive.

Sanzioni e applicazione

L'UU PDP Pasal 57 prevede sanzioni amministrative: un richiamo scritto, la sospensione temporanea dell'attività di trattamento, la cancellazione o distruzione dei dati personali e una sanzione amministrativa fino al 2 percento del fatturato o delle entrate annue rapportate alla variabile della violazione. Le violazioni dei Pasal 20(1), 21, 43(1), 44(1), 45, 46, 47 e 56 sono tutte soggette a queste sanzioni.

L'esposizione penale è separata e più ampia. Ottenere o raccogliere illecitamente i dati personali di un'altra persona a scopo di lucro, causando un danno, comporta fino a 5 anni e IDR 5,000,000,000. La divulgazione illecita comporta fino a 4 anni e IDR 4,000,000,000. L'uso illecito comporta fino a 5 anni e IDR 5,000,000,000. La falsificazione di dati personali comporta fino a 6 anni e IDR 6,000,000,000. Ai sensi del Pasal 70 una società paga solo una multa, ma fino a dieci volte il massimo, il che porta il tetto per le società del Pasal 67(1) a IDR 50 miliardi e quello per la falsificazione a IDR 60 miliardi, oltre a confisca dei proventi, sospensione totale o parziale dell'attività e divieto permanente di determinati atti. Amministratori, azionisti di controllo, mandanti e titolari effettivi possono essere perseguiti personalmente.

Nei servizi finanziari le sanzioni colpiscono la licenza. Il POJK 22/2023 Pasal 39(9) per il marketing e il Pasal 62(4) per il recupero crediti prevedono richiamo scritto, limitazione totale o parziale di prodotti, servizi o attività, loro sospensione, rimozione del management, sanzione amministrativa, revoca della licenza del prodotto o servizio e revoca della licenza d'impresa. L'escalation non deve necessariamente partire da un richiamo. La sanzione ha un tetto di IDR 15,000,000,000 ai sensi del Pasal 39(11) e del Pasal 62(6).

Cosa è cambiato nel 2025 e nel 2026

L'elemento più rilevante non è una modifica ma un'assenza. L'UU PDP Pasal 58 prevede un lembaga di vigilanza istituito dal Presidente e a lui responsabile, con i dettagli fissati da un Peraturan Presiden. Non è stato possibile confermare se quel Peraturan Presiden sia stato emanato e se l'organismo sia operativo. Pianifica partendo dal presupposto che gli obblighi di legge ti vincolino già e che la vigilanza possa essere attivata in qualsiasi momento, perché il periodo transitorio del Pasal 74 è già chiuso.

Anche il Peraturan Pemerintah attuativo previsto dal Pasal 56(5) per i trasferimenti transfrontalieri e dal Pasal 57(5) per la procedura sanzionatoria non è stato individuato, quindi due dei meccanismi più importanti della legge sul piano operativo sono ancora privi di dettagli.

Non è stato trovato alcuno strumento Komdigi del 2025 o del 2026 sul telemarketing. La circolare ministeriale più recente, la Surat Edaran Menteri Komunikasi dan Digital Nomor 4 Tahun 2026 del 26 agosto 2026, riguarda i residui di traffico dati e non ha nulla a che fare con il marketing. Il PM Kominfo 5/2021 resta lo strumento operativo per le telecomunicazioni e il POJK 22/2023 la regola vincolante per le chiamate dei servizi finanziari e del recupero crediti. Non è stato possibile confermare se l'OJK abbia emanato circolari nel 2025 o nel 2026 che sviluppano il Pasal 39 e il Pasal 62, quindi consulta l'indice dei regolamenti OJK prima di un lancio.

Come la piattaforma supporta ciascuna regola

DialerBee offre controlli a supporto della conformità che ti aiutano a rispettare gli obblighi descritti sopra. L'Indonesia non è disponibile come pacchetto giurisdizionale, quindi orari di chiamata, gestione del do-not-call e consenso si configurano per singolo tenant. La responsabilità legale resta di chi gestisce la campagna.

Norma indonesiana	Controllo che la supporta
Fascia di marketing 08:00-18:00, waktu setempat	Fasce orarie di chiamata configurate per tenant e per campagna, applicate prima dell'avvio della chiamata
Fascia di recupero crediti 08:00-20:00, waktu setempat	Fasce separate per campagna, così recupero crediti e marketing non condividono la stessa pianificazione
Dal lunedì al sabato, festività nazionali escluse	Esclusioni per giorno della settimana e festività impostate nel calendario di ogni tenant
Tre fusi orari locali in tutto l'arcipelago	Pacing che tiene conto del fuso orario, così la fascia segue il contatto e non il titolare della campagna
Consenso esplicito per finalità dichiarate	Consenso creato, aggiornato e revocato come record verificabili
La revoca interrompe l'offerta e fa scattare la cancellazione	Una revoca ha effetto dal tentativo successivo, non dal prossimo aggiornamento della lista
Nessun registro nazionale: la tua lista è la lista	La tua lista do-not-call viene importata una volta, poi consultata e verificata a ogni tentativo
Indicare nome della società e scopo prima di proporre un'offerta	Script e agenti vocali IA creati per ogni campagna a partire da una libreria di template revisionati
Registrazione obbligatoria delle offerte di servizi finanziari	Registrazione con conservazione configurabile, riproduzione tramite URL firmati, conservazione a fini legali e isolamento per tenant
Diritto del consumatore di accedere alla propria registrazione	Esportazione delle registrazioni per i revisori e audit trail su ogni deroga alle regole
Contatti in bahasa Indonesia raggiunti nella loro lingua	IA sensibile alla lingua in 11 lingue, indonesiano compreso
Chiamate effettuate tramite i carrier indonesiani che usi già	Trunking SIP BYOC con pool di caller ID di proprietà esclusiva di ciascun tenant

Checklist di conformità outbound per l'Indonesia

Prima di chiamare, stabilisci in quale regime ti trovi: servizi finanziari ai sensi del POJK 22/2023, oppure solo UU PDP.
Registra una base giuridica ai sensi dell'UU PDP Pasal 20 per ogni contatto della campagna.
Fornisci l'informativa completa prevista dal Pasal 21(1) prima di raccogliere il consenso, incluso il periodo di conservazione.
Pianifica il marketing dei servizi finanziari nella fascia 08:00-18:00 e il recupero crediti nella fascia 08:00-20:00, dal lunedì al sabato, festività nazionali escluse.
Applica la fascia nell'ora locale del contatto, tra WIB, WITA e WIT, invece che su un unico orologio nazionale.
Apri le chiamate per servizi finanziari indicando il nome della società e spiegando lo scopo.
Comunica la fonte dei dati di contatto ogni volta che provengono da terzi.
Registra le offerte vocali fatte tramite canali di comunicazione personale nei servizi finanziari e documenta la registrazione se l'offerta viene accettata.
Su richiesta, dai al cliente accesso alla propria registrazione.
Interrompi subito l'offerta alla revoca e cancella i dati personali come richiesto dal Pasal 43(1).
Usa la tua lista di esclusione come lista do-not-call, dato che non esiste un registro nazionale su cui fare lo scrubbing.
Documenta la valutazione sui trasferimenti prevista dal Pasal 56 prima che qualsiasi contact center offshore, region cloud o archivio di registrazioni entri in funzione.
Preparati a notificare una violazione entro 3 x 24 ore all'interessato e all'organismo di vigilanza.
Ricontrolla gli indici dei regolamenti Komdigi e OJK prima del lancio, dato che i regolamenti attuativi dell'UU PDP non sono ancora stati emanati.

Fonti

Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, promulgata il 17 ottobre 2022, Lembaran Negara 2022 n. 196, Tambahan LN n. 6820.
Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2021 tentang Penyelenggaraan Telekomunikasi, promulgato il 1° aprile 2021. JDIH Komdigi
Peraturan Otoritas Jasa Keuangan Nomor 22 Tahun 2023 tentang Pelindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan, in vigore dal 22 dicembre 2023. PDF del regolamento OJK
Surat Edaran Menteri Komunikasi dan Digital Nomor 4 Tahun 2026, 26 agosto 2026. Indice JDIH Komdigi

Domande frequenti

Quali sono gli orari consentiti per le chiamate in Indonesia?

Solo i servizi finanziari hanno una fascia pubblicata. Il POJK 22/2023 Pasal 39(4)(a) consente le comunicazioni di marketing dal lunedì al sabato, festività nazionali escluse, dalle 08:00 alle 18:00 ora locale, e il Pasal 62(2)(f) consente il recupero crediti dal lunedì al sabato, festività nazionali escluse, dalle 08:00 alle 20:00 ora locale. Al di fuori di questi orari serve l'accordo del consumatore. Nell'UU PDP e nel PM Kominfo 5/2021 non è stata trovata alcuna regola generale indonesiana sugli orari di chiamata.

L'Indonesia ha un registro delle opposizioni (Do Not Call)?

No. In Indonesia non esiste un registro nazionale delle opposizioni, e non ne compare alcuno nell'UU PDP, nel PM Kominfo 5/2021 o nel POJK 22/2023. Esistono un'opzione a livello di operatore che consente agli abbonati di rifiutare gli SMS di marketing e, nei servizi finanziari, un obbligo di consenso e revoca a carico di ciascuna società. La lista che devi far rispettare è la tua lista di esclusione, costruita con le revoche.

Serve il consenso per chiamare numeri indonesiani?

Ti serve una base giuridica ai sensi dell'UU PDP Pasal 20, e per il marketing su una lista fredda questa base è di norma il consenso esplicito per finalità dichiarate ai sensi del Pasal 20(2)(a). Nei servizi finanziari il POJK 22/2023 Pasal 39(1) è esplicito: un'impresa non può offrire prodotti o servizi tramite un canale di comunicazione personale senza il consenso della persona, e non può subordinare a quel consenso l'uso del prodotto.

La registrazione delle chiamate è obbligatoria in Indonesia?

Nei servizi finanziari, sì. Il POJK 22/2023 Pasal 39(5) impone a un PUJK di effettuare una registrazione audio o video quando offre prodotti o servizi tramite un canale di comunicazione personale che usa voce o video, il Pasal 39(7) impone di documentare la registrazione se l'offerta viene accettata e il Pasal 39(8) dà al consumatore il diritto di accedervi. Il regolamento non indica alcun periodo di conservazione.

In Indonesia esiste un prefisso di caller ID per il telemarketing?

Nel PM Kominfo 5/2021 e negli altri strumenti esaminati non è stato trovato alcun prefisso riservato né un intervallo di numerazione dedicato alle chiamate vocali di telemarketing. È invece richiesta l'identificazione verbale: il POJK 22/2023 Pasal 39(4)(b) obbliga chi chiama per servizi finanziari a indicare il nome della società e spiegare lo scopo prima di proporre qualsiasi cosa. Verifica la situazione della numerazione con Komdigi prima di fare affidamento su questa assenza.

Perché non posso usare un'unica fascia oraria nazionale per l'Indonesia?

Perché il regolamento lega la fascia al waktu setempat, l'ora locale del consumatore, e l'Indonesia si estende su tre fusi orari: WIB, WITA e WIT. L'inizio alle 08:00 nel fuso orientale arriva due ore prima, in termini di orologio, rispetto all'inizio alle 08:00 a ovest, quindi un'unica pianificazione nazionale finirà per chiamare a est prima dell'apertura della fascia o per fermarsi troppo presto a ovest.

Cosa succede se faccio marketing ai consumatori indonesiani senza consenso?

Ai sensi dell'UU PDP Pasal 57 le sanzioni amministrative vanno dal richiamo scritto alla sospensione del trattamento, alla cancellazione dei dati e a una sanzione fino al 2 percento del fatturato o delle entrate annue rapportate alla variabile della violazione. Nei servizi finanziari il POJK 22/2023 aggiunge conseguenze sulla licenza, tra cui limitazione o sospensione dell'attività, rimozione del management e una sanzione amministrativa con un tetto di IDR 15,000,000,000.

L'autorità indonesiana per la protezione dei dati ha avviato la vigilanza?

L'UU PDP Pasal 58 prevede un lembaga di vigilanza istituito dal Presidente con un Peraturan Presiden, e non è stato possibile confermare se quello strumento sia stato emanato e l'organismo sia operativo. Gli obblighi sono comunque già vincolanti: il periodo transitorio di due anni del Pasal 74 si è chiuso il 17 ottobre 2024, quindi la conformità è dovuta a prescindere dallo stato della vigilanza.

Letture correlate

Avvertenza: Questo articolo fornisce informazioni generali e non costituisce consulenza legale. Diversi regolamenti attuativi dell'UU PDP non sono ancora stati emanati e non è stato possibile confermare lo stato dell'organismo di vigilanza. Verifica i requisiti in vigore con il Kementerian Komunikasi dan Digital, l'Otoritas Jasa Keuangan e un legale locale qualificato.

Chiamate outbound in Indonesia: conformità a UU PDP e OJK (2026)